🇰🇷 한글 설명
Fider 0.38.0 미만 버전에서 웹훅 및 커스텀 OAuth 제공업체 엔드포인트의 URL 검증 과정 중 TOCTOU(Time-of-Check Time-of-Use) 결함으로 인해 서버 측 요청 위조(SSRF) 취약점이 발생합니다. DNS를 제어할 수 있는 관리자는 DNS 리바인딩 공격을 통해 Fider 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트로 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
웹사이트가 주소를 확인하는 찰나의 순간을 이용해 공격자가 가짜 주소로 속이는 공격입니다. 이를 통해 공격자는 보안이 걸린 내부 네트워크나 중요한 서버 정보에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Fider before 0.38.0 contains a server-side request forgery vulnerability due to a time-of-check time-of-use gap in URL validation for webhooks and custom OAuth provider endpoints. Administrators controlling DNS can perform DNS rebinding attacks to make the Fider server send requests to internal services or cloud metadata endpoints.
📍 영향받는 시스템
Fider 0.38.0 미만 모든 버전
⚔️ 공격 벡터
DNS 리바인딩을 이용한 SSRF (Server-Side Request Forgery)
🛡️ 대응 방법
Fider를 0.38.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.38.0 미만의 버전 번호가 출력되면 취약한 상태이며, 아무것도 출력되지 않으면 안전하거나 버전을 확인할 수 없는 상태입니다.
curl -s http://localhost:PORT/version | grep -E '0\.[0-9]+' | awk '$1 < "0.38.0"' || echo 'Not vulnerable or version unknown'